El banco cooperativo francés Crédit Mutuel Arkéa afirmó que los atacantes accedieron a sus sistemas a través de la plataforma de uno de sus proveedores de servicios, rechazando los informes que señalaban que Fortuneo, el banco en línea del grupo, fue el punto de entrada.

El banco proporcionó la información en un comunicado en formato de preguntas y respuestas publicado en Brest el 4 de noviembre a las 5:30 p.m., después de un comunicado anterior emitido a la 1:00 p.m. El comunicado respondió preguntas sobre cómo ocurrió el ataque y quién fue afectado. El comunicado oficial del banco está disponible aquí.

Crédit Mutuel Arkéa dijo que los atacantes utilizaron una de las cuentas del propio banco para enviar dinero a otros bancos. Los fondos podrían haber sido convertidos posteriormente en criptomonedas a través de plataformas especializadas.

Fortuneo no fue el punto de entrada

Algunos informes de prensa habían afirmado que los atacantes entraron a través de Fortuneo. Crédit Mutuel Arkéa rechazó esa versión, señalando: «A pesar de lo que se ha reportado, no hubo ninguna ‘entrada’ a través de Fortuneo».

En cambio, los atacantes utilizaron la plataforma de un proveedor de servicios para llegar directamente a Crédit Mutuel Arkéa, según el banco, que no identificó al proveedor. El banco también afirmó que un error humano interno no fue la causa del incidente, describiéndolo como «un ataque sofisticado desde el exterior» que ya ha sido contenido. Una intrusión enrutada a través de la plataforma de un proveedor, en lugar de los sistemas propios orientados a clientes del banco, es el tipo de exposición a terceros que las reglas europeas abordan ahora de manera explícita: la Ley de Resiliencia Operativa Digital de la UE, vigente desde enero de 2025, exige a las instituciones financieras gestionar los riesgos provenientes de proveedores de servicios de TIC e informar sobre los incidentes importantes a los supervisores.

Según Crédit Mutuel Arkéa, los atacantes no utilizaron cuentas de clientes de sus federaciones ni de sus filiales. El banco dijo que el incidente no tuvo consecuencias financieras para los clientes, aunque algunas transferencias se retrasaron.

Como medida de precaución, el grupo suspendió temporalmente ciertas transacciones. Casi todas las operaciones se reanudaron durante la mañana, después de que se completaran las verificaciones y se implementaran medidas de seguridad adicionales.

El grupo afirmó haber notificado a las autoridades y organismos de supervisión pertinentes. Sus equipos trabajan con las autoridades judiciales y policiales para determinar el origen del ataque y cómo se llevó a cabo.

El banco también advirtió a los clientes sobre el phishing. Indicó que los incidentes de este tipo suelen ir seguidos de un aumento en los intentos de phishing diseñados para robar información personal, y urgió a los clientes a mantenerse alerta.

La siguiente publicación fue publicada por Crypto Banter en X el 4 de noviembre:

🚨FRENCH BANK ATTACK CONFIRMED: FORTUNEO HIT, $133M+ DRAINED INTO CRYPTO! New reporting confirms that @fortuneo , the online arm of Crédit Mutuel Arkéa, was targeted. Attackers issued transfers and moved the funds into crypto exchange accounts opened with forged identities.… pic.twitter.com/YemTytogpM — Crypto Banter (@crypto_banter) November 4, 2026

La publicación está disponible en X.

ZachXBT rastrea los fondos a través de múltiples blockchains

ZachXBT, un investigador on-chain independiente conocido por rastrear públicamente criptomonedas robadas a través de exchanges y blockchains, señaló por primera vez el exploit públicamente el 2 de noviembre. Estimó que las pérdidas superaban los 133 millones de dólares y dijo que el monto podría aumentar. Explicó que el ataque se desarrolló a lo largo de varios días y que también podría haber involucrado operaciones adicionales de venta extrabursátil que podrían elevar el total.

Según ZachXBT, el atacante intercambió USDC, una stablecoin vinculada al dólar estadounidense, por ETH y movió activos a través de exchanges instantáneos como WellWallet y Kyrrex. Los fondos también fueron convertidos en Monero (XMR) a través de Wagyu y transferidos mediante bridges a través de múltiples blockchains. Los exchanges instantáneos permiten a los usuarios intercambiar una criptomoneda por otra rápidamente, a menudo sin las verificaciones de identidad completas que exigen las plataformas más grandes. Monero está diseñado de manera que remitentes, destinatarios y montos no son visibles en su ledger público, lo que dificulta el rastreo en comparación con blockchains transparentes como Bitcoin o Ethereum.

ZachXBT afirmó tener un «alto grado de confianza» en que el grupo Lazarus de Corea del Norte no fue responsable del ataque. Crédit Mutuel Arkéa no ha identificado a ningún sospechoso.

El banco cuenta con 12.073 empleados y más de 5,8 millones de socios y clientes. Reporta activos totales de 211.500 millones de euros (238.100 millones de dólares).

Al ser consultado sobre si se habían robado 118 millones de euros (133 millones de dólares), Crédit Mutuel Arkéa se negó a confirmar la cifra, indicando que solo podía validar el orden de magnitud. El banco dijo que parte de los fondos había sido bloqueada y que se estaban realizando esfuerzos adicionales de recuperación.

Añadió que aún es demasiado pronto para proporcionar un monto final, pero afirmó que las pérdidas «no son de ninguna manera de naturaleza tal que comprometan la solidez financiera del grupo». La identidad del proveedor de servicios utilizado para obtener acceso, la pérdida final precisa y el resultado del trabajo del banco con las autoridades judiciales y policiales siguen sin resolverse.

Fuente: CoinCentral